Keystone 数据泄露：地址订单已外泄，助记词安全

已确认的事实：时间线与泄露范围

10 月 20 日，Keystone 发现官网存在未授权访问。10 月 23 日，公司在与 Shopify 核查 API 活动后确认，第三方获取了客户收货信息。10 月 24 日（美东时间 13:59），Keystone 在 X 上发布声明并道歉，称已封堵访问、修复漏洞、启动调查，并开始邮件通知受影响客户，详细报告将在未来几天发布。

需要先划清一个界限：这次被入侵的是 Keystone 的官网，不是钱包设备本身。Keystone 以完全离线的二维码签名著称，私钥不出设备；本次事件没有触及这一层。官方也没有说明受影响的是全部官网订单还是其中一部分，这个范围至今没有落字。

泄露了什么、没泄露什么

泄露的是官网订单一侧的身份与收货信息，不是钱包里的密钥，所以这起事件本身不会直接导致丢币，但它给了骗子精准行骗的材料。

如果你买过 Keystone，现在做这 4 件事

1. 查邮箱。官方称正在邮件通知受影响客户，先看收件箱有没有 Keystone 的通知。但没收到不等于没事，因为官方至今没有披露受影响的全部范围。
2. 不点链接。不要点击任何自称 Keystone 的短信、邮件、电话里的链接，需要访问官网时手动输入网址。
3. 不给助记词。Keystone 官方绝不会索要助记词或私钥，也不会要求你把助记词输入到任何一台新设备里。凡是这么要求的，一律是骗子。
4. 警惕“售后”话术。退款、免费换新设备、修改订单地址，是本次事件后最可能出现的话术。接到这类联系先挂断，只走官方渠道核实。

如何识别冒充 Keystone 的钓鱼

Keystone 在声明里点名了骗子的手法：通过电话、短信、邮件甚至纸质信件冒充公司客服，声称可以帮你退款、更换设备、修正订单或地址。识别方法只有一条硬标准：官方永远不会向你要助记词、私钥，也不会发链接让你“验证钱包”。任何一次联系只要触及这两点，不用多想，直接断联并通过官网公布的官方渠道核实。

这个提醒不是客套。就在两周前，Coldcard 的官方 X 账号被盗后，骗子用真实补丁版本号作饵发布假“严重漏洞”公告，诱导用户把币转到钓鱼地址。真实事故发生后的恐慌期，正是钓鱼成功率最高的时候。

这不是孤例：2026 年硬件钱包事故对照

把 Keystone 放进 2026 年的序列里看，画面更清楚：今年至少六家硬件钱包厂商披露过安全问题，但只有两起直接丢了币。

同一张表里只有两类事会直接丢币——Coldcard 的种子缺陷和 Ledger 的篡改设备；其余三起（包括 Keystone）泄露的是身份信息，伤害发生在随后的钓鱼环节。

另外两点值得单独说。第一，Ledger 今年 1 月还另有一起第三方支付服务商 Global-e 数据暴露事件，同样是订单信息外泄；Trezor Safe 7 与 Tangem 卡片曾被 Ledger 实验室用激光攻破芯片，但均需拿到实物设备与专业实验条件，对日常用户风险极低；BitBox 8 月修复了数个被自家工程师定为严重的固件漏洞，未报告资金损失。第二，SafePal 的教训与 Keystone 直接相关：它曾承诺订单数据 30 天后删除，但清理程序没有执行，数据留存超过一年。官网一侧的数据管理制度，往往比设备本身更先出问题。

Coldcard 的后续同样值得所有硬件钱包用户记住：固件更新修不了已经生成的弱种子，受影响用户必须在修复后的固件上重新生成种子并迁移资产。设备层面的补丁，从来不是一键了事。

仍未披露的三点

Keystone 的声明留下了三个缺口：受影响客户人数、涉及的订单日期范围、入侵的技术原因，三项至今都没有落字。公司承诺的详细报告将在未来几天发布，这三项是跟进时最值得盯的。如果后续报告补上了人数与日期范围，本文会同步更新。

对不同人群意味着什么

在官网买过 Keystone 的用户：按上文 4 步做，未来几周对一切“官方售后”保持怀疑，重点是绝不交出助记词、不点陌生链接。

没买过 Keystone、但用其他品牌硬件钱包的人：对照上表，数据泄露类事件与品牌无关，任何一家的官网订单信息都可能成为钓鱼材料，防护动作是通用的。

还没买硬件钱包的人：设备本身的安全与官网的数据安全是两回事，选购时把“官网如何存你的订单信息”也算进去；另外只从官方渠道购买，避免 Ledger 篡改设备那类经销商风险。

参考来源与核验记录